Reklamacja doładowania i incydent bezpieczeństwa — dwa tory działania

Zabezpiecz stan przed kolejną próbą

Nie ponawiaj płatności i nie wpisuj ponownie kodu. Zapisz adres strony jako tekst, godzinę, komunikat, identyfikator zamówienia, status w historii płatności i wynik widoczny na koncie telefonu. Wykonaj zrzuty potrzebnych ekranów, ale nie udostępniaj ich publicznie. Pełne dane karty, hasła, kody jednorazowe i niewykorzystany kod doładowania nie są materiałem do otwartego zgłoszenia.

Jeżeli urządzenie otrzymało polecenie instalacji aplikacji albo udzielenia zdalnego dostępu, przerwij połączenie z rozmówcą. Skontaktuj się z bankiem i innymi właściwymi dostawcami z innego, zaufanego kanału lub urządzenia zgodnie z ich procedurami bezpieczeństwa. Nie wykonuj dalszych czynności pod dyktando osoby, która sama zgłosiła rzekomy problem.

Zbuduj chronologię pięciu zdarzeń

Zapisz kolejno: wybór produktu, złożenie zamówienia, autoryzację płatności, potwierdzenie sprzedawcy i wynik u dostawcy numeru. Przy każdym zdarzeniu podaj czas, status i dowód. Taka tabela pokazuje ostatni prawidłowy etap. Jeśli bank potwierdza płatność, lecz sprzedawca nie wydał produktu, problem jest inny niż w sytuacji, gdy ważny kod został wydany, ale odrzucony przez system dostawcy.

Porównaj też numer i nazwę produktu na każdym dokumencie. Jedna błędna cyfra może wyjaśniać brak efektu na sprawdzanym koncie, ale nie przesądza, czy operację można cofnąć. Zgłoś błąd szybko i nie kontaktuj się z przypadkowym posiadaczem numeru w sposób ujawniający dane transakcji.

Dobierz adresata do etapu

Dostawca płatności

Do banku lub innego dostawcy płatności kieruj problem ze statusem, nieznaną operacją albo ujawnieniem danych płatniczych. Podaj dokładnie, czy sam zatwierdziłeś płatność, co wyświetlał ekran autoryzacji i jakie dane przekazałeś. Nie określaj operacji jako nieautoryzowanej tylko dlatego, że rezultat zakupu jest sporny. Dostawca płatności ocenia zdarzenie według właściwych przepisów i procedury; poradnik nie obiecuje zwrotu.

Sprzedawca produktu

Do sprzedawcy kieruj brak wydania opłaconego produktu, niezgodność zamówienia z opisem lub problem z dokumentem sprzedaży. Dołącz identyfikator, kwotę, czas, nazwę produktu i potwierdzenie płatności w bezpiecznym zakresie. Wskaż oczekiwany skutek i poproś o uzasadnienie, jeśli żądanie zostanie odrzucone.

Dostawca usługi komunikacji

Do dostawcy numeru kieruj problem z nierozpoznanym kodem, brakiem zapisu prawidłowo skierowanego doładowania, saldem, pakietem lub okresem ważności, jeśli wynika to z jego zakresu odpowiedzialności. Użyj identyfikatora konta lub numeru oraz danych wymaganych przez oficjalną procedurę, nie hasła do konta.

Reklamacja powinna zawierać fakt, okres i żądanie

Jeżeli reklamacja dotyczy usługi komunikacji elektronicznej objętej polskim PKE, art. 378 wskazuje między innymi niewykonanie lub nienależyte wykonanie usługi oraz nieprawidłowe obliczenie należności. Reklamacja powinna określać przedmiot, reklamowany okres, okoliczności i numer lub inny właściwy identyfikator, a przy żądaniu wypłaty — także wymaganą treść dotyczącą kwoty i sposobu jej przekazania.

Ustawa przewiduje 12 miesięcy na złożenie takiej reklamacji, liczone od odpowiedniego zdarzenia opisanego w art. 378, oraz 30 dni na jej rozpatrzenie. Aktualne rozporządzenie Ministra Cyfryzacji określa sposób potwierdzania reklamacji, uzupełniania braków i elementy odpowiedzi. Te terminy nie powinny być automatycznie stosowane do sporu z osobnym sprzedawcą kodu lub bankiem; najpierw zakwalifikuj relację i adresata.

Podejrzaną stronę oceń po adresie, nie po wyglądzie

CERT Polska ostrzega, że fałszywa witryna może wiernie kopiować grafikę znanego serwisu. W adresie znajdź nazwę hosta między oznaczeniem protokołu a pierwszym ukośnikiem, a domenę analizuj od prawej strony. Nazwa marki wpisana w subdomenę lub długi fragment adresu nie dowodzi, że strona do niej należy.

Podejrzaną domenę można sprawdzić i zgłosić przez kanały CERT Polska. CERT prowadzi Listę Ostrzeżeń przed niebezpiecznymi stronami, udostępnia formularz incydent.cert.pl i opisuje sposób przekazania podejrzanego SMS-a na numer 8080. Lista pomaga ograniczać dostęp do rozpoznanych zagrożeń, ale brak domeny na liście nie jest certyfikatem bezpieczeństwa nowej strony.

Po ujawnieniu danych ogranicz dalsze skutki

Jeśli podano dane karty, logowania lub kod autoryzacyjny, skontaktuj się niezwłocznie z bankiem przez numer z jego oficjalnej strony, aplikacji lub dokumentu. Wykonaj zalecone zabezpieczenia instrumentu płatniczego i konta. Jeśli użyto tego samego hasła w innych usługach, zmień je z zaufanego urządzenia i włącz dostępne dodatkowe uwierzytelnianie. Zgłoszenie do CERT Polska nie zastępuje kontaktu z bankiem ani organami ścigania, gdy doszło do szkody lub próby przestępstwa.

W wiadomości do bliskiej osoby zweryfikuj jej tożsamość innym znanym kanałem. Przejęte konto w komunikatorze może wyglądać wiarygodnie, a prośba o szybki zakup i przesłanie kodu wykorzystuje presję zamiast technicznego błędu.

Zamknij oba tory osobnymi potwierdzeniami

W torze usługowym zachowaj odpowiedź sprzedawcy lub dostawcy, wynik korekty i stan konta. W torze bezpieczeństwa zapisz zgłoszenie do banku, wykonane środki ochronne oraz numer zgłoszenia do CERT lub organu, jeśli go otrzymasz. Nie umieszczaj tych numerów publicznie.

Jeżeli nie wiesz jeszcze, na którym etapie wystąpił błąd, przejdź przez schemat diagnozy braku salda. Przed następną płatnością zastosuj siedem kroków kontroli i wejdź do kanału samodzielnie, bez linku z otrzymanej wiadomości.

Źródła:

• Prawo komunikacji elektronicznej, art. 378–383, tekst ujednolicony z 07.07.2026.
• Rozporządzenie Ministra Cyfryzacji z 29.09.2025 w sprawie reklamacji.
• UKE, reklamacje usług komunikacji elektronicznej.
• CERT Polska, rozpoznawanie fałszywych adresów.
• CERT Polska, Lista Ostrzeżeń i kanały zgłaszania.
• UOKiK, wskazówki dotyczące phishingu i nieautoryzowanych transakcji.